CVE-2021-29490
Açıklama
Jellyfin, özel bir sunucudan uç kullanıcı cihazlarına birden fazla uygulama aracılığıyla medya sağlayan ücretsiz bir yazılım medya sistemidir. 10.7.3 öncesindeki sürümler, imageUrl parametresi üzerinden kimlik doğrulaması gerektirmeyen Sunucu Taraflı İstek Sahteciliği (SSRF) saldırılarına karşı savunmasızdır. Bu sorun, hem dahili ve harici HTTP sunucularını hem de Jellyfin sunucusundan görülebilen HTTP `GET` yoluyla erişilebilir diğer kaynakları potansiyel olarak açığa çıkarmaktadır. Zafiyet 10.7.3 sürümünde giderilmiştir. Geçici bir çözüm olarak, ters proxy aracılığıyla `/Items/*/RemoteImages/Download`, `/Items/RemoteSearch/Image` ve `/Images/Remote` API uç noktalarına olan harici erişimi devre dışı bırakın veya bu erişimi bilinen güvenilir IP'lerle sınırlandırın.
Nasıl düzeltilir
- jellyfin jellyfin10.7.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jellyfin jellyfin | v < 10.7.3 | 10.7.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.